DFN-CERT-2014-0349 Red Hat Fedora, RubyGems: Eine Schwachstelle ermöglicht Cross-Site-Scripting [Linux][Fedora]

Von DFN CERT

- 21. März 2014

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

RubyGems

Betroffene Plattformen:

Red Hat Fedora 20

Ein entfernter Angreifer kann diese Schwachstelle ausnutzen, um
Cross-Site-Scripting Angriffe durchzuführen.

Patch:

Fedora Update FEDORA-2014-4118

https://admin.fedoraproject.org/updates/FEDORA-2014-4118/rubygem-rack-ssl-1.3.2-9.fc20

CVE-2014-2538: Schwachstelle in RubyGems Rack SSL ermöglicht
Cross-Site-Scripting

Einige Adapter reichen illegale URIs an RubyGems Rack SSL weiter. Die daraus
resultierende Ausnahme wird von Rack SSL bis Version 1.3.3 auf einer
Fehlerseite angezeigt. Dies ermöglicht einem entfernten Angreifer beliebige
HTML- und Script-Befehle auf einer Fehlerseite im Kontext eines anderen
Benutzers zur Ausführung zu bringen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0349/

Schwachstelle CVE-2014-2538 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-2538

Fedora Update FEDORA-2014-4118:
https://admin.fedoraproject.org/updates/FEDORA-2014-4118/rubygem-rack-ssl-1.3.2-9.fc20